Trust Center
Tiro
セキュリティは機能ではなく、私たちの働き方そのものです。
Tiroは、初日からセキュリティを前提に設計されたAIミーティングアシスタントです。認証や統制項目、ポリシーをご確認いただき、セキュリティチームに必要な文書をリクエストしてください。
セキュリティ質問票とよくある質問
セキュリティチームから多く寄せられる質問への回答を、評価領域ごとに整理しています。
CAIQ、SIG、またはTiroのセキュリティ質問票の全文が必要ですか？こちらからリクエスト アクセスをリクエスト
データの所有権
データおよびコンテンツの権利は誰が所有しますか？
お客様です。お客様のコンテンツは当社の利用規約のもとでお客様に帰属し、Tiroはサービス提供のためにのみ処理し、所有権を主張しません。
お客様のデータが本番システムの外に出るのはどのような場合ですか？
暗号化された状態でのみ、かつサービス提供に必要なサブプロセッサー（音声認識、LLM、ストレージ）に対してのみ送信し、それぞれZero Data RetentionのDPAを締結しています。マーケティングやモデルの学習のためにデータをエクスポートすることは一切ありません。
データの取り扱いと保持
データはどこに保存され、サーバーはどこにありますか？
AWSソウルリージョン（ap-northeast-2）にマルチAZ構成で保存し、ユーザーごとの鍵で保存時にAES-256により暗号化します。
データの保管場所（データレジデンシー）の選択肢はありますか？
ソウルが既定です。エンタープライズのお客様は専用リージョンやVPCをリクエストでき、ベンダールーティングを制限することも可能です（例：韓国国内のみ）。
データの保持ポリシーを教えてください。
保持期間はお客様が制御できます。音声は文字起こし後に破棄します。ノート・文字起こし・要約は、お客様が削除するか、設定した保持期間が経過するまで保管します（例：エンタープライズでは90・180・365日）。
データを削除した後も、どこかに保存されていますか？
いいえ。削除は運用データベース・ベクターインデックス・キャッシュへ即時反映され、自動バックアップは保持期間の経過後に破棄されます。アカウント解約時には、データを保護するKMS鍵が削除予約され、残存するコピーは暗号学的にアクセスできなくなります。
ミーティング音声はどのように扱われますか？
リアルタイムでは、音声は音声認識（STT）エンジンを通過した直後にメモリから破棄され、平文で保存されることはありません。アップロードされたファイルも処理完了後に破棄されます。任意のオプトインによる保持を有効にした場合は、本人の暗号化ストレージに音声を保管します（既定は無効）。
アクセスと担当者
Tiroの誰がお客様のデータにアクセスできますか？
既定では本人と共有相手のみがアクセスできます。運用上、平文へのアクセスは明示的に承認された少数の担当者に限定され、すべてのアクセスがクエリ・カラム単位で記録されます。
アクセス権を持つ従業員にはどのような統制が適用されますか？
入社時にセキュリティ研修を必須で受講し、RBAC/ABACによる最小権限アクセスを徹底し、四半期ごとのアクセス権レビューを実施しています。
AIとサブプロセッサー
お客様のデータをAIモデルの学習に使用しますか？
一切ありません。会話・文字起こし・要約を含むお客様のデータを、モデルの学習やファインチューニングに使用することはなく、これはすべてのプランに適用されます。利用するすべてのLLM・音声認識（STT）ベンダーとは、学習禁止とZero Data Retentionを契約で義務付けています。
どのAIサブプロセッサーがどのデータを受け取りますか？
音声認識（STT）ベンダーは文字起こしのためにミーティング音声を受け取り、LLMベンダーは要約のために文字起こしとプロンプトのテキストを受け取ります。いずれもZero Data Retention契約のもとで行われます。各ベンダーが受け取るデータの全一覧は、サブプロセッサーのページをご確認ください。
お客様のコンテンツを人間が確認することはありますか？
日常的な人手による確認はありません。平文へのアクセスはサポートとデバッグの目的に限り、承認された少数の担当者に限定され、すべてのアクセスが記録されます。
レジリエンスとインシデント対応
インシデント対応のプロセスを教えてください。
24時間365日の監視で異常を検知します。確認されたインシデントには初動対応4時間のSLA（エンタープライズ）、24時間以内のお客様への通知、事後レビューを適用します。セキュリティ上の問題は partners@theplato.io までご報告ください。
侵害が発生した場合、お客様にはどのように、いつ通知されますか？
影響を受けるエンタープライズのお客様には、24時間以内に通知するSLAを適用し、範囲・影響・是正措置をお伝えします。
事業継続と災害復旧（DR）の対策を教えてください。
マルチAZ構成、KMSで暗号化した自動バックアップ（年次の復旧テスト付き）、RTO 24時間・RPO 24時間、月間稼働率99.9%のSLAを適用しています。
ペネトレーションテストはどのくらいの頻度で実施していますか？
ペネトレーションテストと脆弱性評価のプログラムを運用しており、発行後はNDAのもとで要約をご提供します。研究者の皆さまは、脆弱性開示ポリシーを通じて発見事項を報告することもできます。
コンプライアンスと法務
どのような認証や監査を取得していますか？
ISO/IEC 27001:2022（Sensiba LLPによる認証取得）、SOC 2 Type 1・Type 2（いずれもSensiba LLPの監査、5つのTrust Services Criteria全範囲、無限定意見）です。また、NIST CSF、NIST AI RMF、CIS Controls 8.1にも準拠しています。報告書はNDAのもとでご提供します。
DPAとSCCを締結できますか？
はい。EU標準契約条項（SCC）を含むデータ処理契約（DPA）を締結できます。partners@theplato.io までご連絡ください。